CVE-2026-118074

Nome do Software Vulnerável e Versões Afetadas Finale Lite versões anteriores a 2.21.1

Descrição O plugin Finale Lite – Sales Countdown Timer & Discount for WooCommerce para WordPress permite que atacantes autenticados com nível de acesso de gerente de loja ou superior realizem a Injeção de Objeto PHP. Isso ocorre devido à desserialização de entradas não confiáveis, que é o processo de converter uma string armazenada de volta em um objeto PHP. Embora não haja uma POP chain (uma sequência de gadgets usada para executar código malicioso) presente no próprio software, a presença de uma em outro plugin ou tema instalado poderia permitir a exclusão de arquivos arbitrários, a recuperação de dados sensíveis ou a execução remota de código.

Recomendações Atualize para uma versão posterior à 2.21.0.